Node.js 18.x < 18.18.2 / 20.x < 20.8.1 多個弱點 (2023 年 10 月 13 日星期五安全性發佈)。
critical Nessus Plugin ID 183390
語系：
概要
Node.js - JavaScript 執行階段環境受到多個弱點影響。說明
遠端主機上安裝的 Node.js 版本早於 18.18.2、20.8.1。因此，它受到 2023 年 10 月 13 日星期五安全性版本公告中提及的多個弱點影響。- Undici 並未一律清除跨來源重新導向的 Cookie 標頭。根據設計，「Cookie」標頭是禁止的要求標頭，因此不允許在瀏覽器環境的 RequestInit.headers 中設定這些標頭。
由於 undici 處理標頭的方式比規格更寬鬆，因此會導致規格所做的假設以及 undici 的擷取實作出現不一致。因此，這可能導致 Cookie 意外洩漏給第三方網站，或導致惡意攻擊者控制重新導向目標 (即開放重新導向器)，進而將 Cookie 洩漏給第三方網站。GHSA-wqq4-5wpv-mx2g 中提供更多詳細資訊區域 (CVE-2023-45143)
- 在無邊界的情況下快速建立和取消資料流 (HEADERS 框架緊接著 RST_STREAM) 會造成拒絕服務。請參閱 https://www.cve.org/CVERecord?id=CVE-2023-44487 瞭解詳情。影響：
(CVE-2023-44487)
- 先前洩漏的弱點 (CVE-2023-30584) 修補不足。產生新路徑遊走弱點的原因是實作未保護自己，以避免應用程式以使用者定義的實作覆寫內建公用程式函式。影響：請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 Tobias Nieen 報告此弱點並建立安全性修補程式。(CVE-2023-39331)
- 多種節點：fs 函式允許將路徑指定為字串或 Uint8Array 物件。在 Node.js 環境中，Buffer 類別會延伸 Uint8Array 類別。Node.js 可透過字串 (請參閱 CVE-2023-30584) 和 Buffer 物件 (請參閱 CVE-2023-32004) 防止路徑遊走，但無法透過非 Buffer Uint8Array 物件防止路徑遊走。這與 CVE-2023-32004 (報告 2038134) 不同，後者僅提及 Buffer 物件。不過，此弱點使用 Uint8Array 而非 Buffer 時會遵循相同模式。影響：
請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 Tobias Nieen 報告此弱點並建立安全性修補程式。(CVE-2023-39332)
- Node.js 原則功能針對受信任的資訊清單檢查資源完整性時，應用程式可攔截作業並將偽造的總和檢查碼傳回節點的原則實作，因而有效停用完整性檢查。影響：請注意，在此 CVE 發布時，此原則機制為 Node.js 的實驗性功能。感謝 Tobias Nieen 報告此弱點並建立安全性修補程式。(CVE-2023-38552)
- 已匯入 WebAssembly 模組中的惡意特製匯出名稱可插入 JavaScript 程式碼。插入的程式碼可能能夠存取 WebAssembly 模組本身沒有存取權的資料和函式，如同 WebAssembly 模組是 JavaScript 模組一樣。影響：感謝 dittyroma 報告此弱點，同時感謝 Tobias Nieen 修正此弱點。(CVE-2023-39333)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Node.js 18.18.2 / 20.8.1 版本或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 183390
檔案名稱: nodejs_2023_oct.nasl
版本: 1.7
類型: local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2023/10/19
已更新: 2024/2/23
組態: 啟用徹底檢查
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Critical
基本分數: 10
時間分數: 8.3
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2023-39332
CVSS v3
風險因素: Critical
基本分數: 9.8
時間分數: 9.1
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:F/RL:O/RC:C
弱點資訊
CPE: cpe:/a:nodejs:node.js
必要的 KB 項目: installed_sw/Node.js
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2023/10/13
弱點發布日期: 2023/10/10
CISA 已知遭惡意利用弱點到期日: 2023/10/31
參考資訊
CVE: CVE-2023-38552, CVE-2023-39331, CVE-2023-39332, CVE-2023-39333, CVE-2023-44487, CVE-2023-45143
IAVB: 2023-B-0083-S